Security: close the 9 items from the June review + one found along the way

Findings from the 2026-06-24 security review, now mandatory before this
platform leaves the LAN for a public VPS (see budget/externalization note):

- Timing attack on admin password: hmac.compare_digest instead of !=
- CORS wildcard removed, restricted to ALLOWED_ORIGINS (needed for credentials)
- hCaptcha now fails closed on network error instead of open
- HMAC signatures use the full SHA-256 digest instead of a 64-bit truncation
- Consultation-scoped submissions were missing the consent/cooldown checks
  the global submission route already had
- Admin search capped at 200 chars (ILIKE cost)
- Webhook URLs validated against SSRF (private/loopback/link-local/metadata
  IPs rejected, re-checked at trigger time too, redirects not followed)
- Flood tracker backed by Redis when REDIS_URL is set (shared across Gunicorn
  workers, survives restarts), falls back to in-memory otherwise
- Admin session moved from sessionStorage/Bearer token to an httpOnly+Secure+
  SameSite=Strict cookie; new /api/admin/logout and /api/admin/session routes

Also found while wiring ProxyFix for the cookie's Secure flag: the app never
told Flask about the Nginx reverse proxy, so request.remote_addr saw Nginx's
own IP for every request in production — silently breaking rate limiting,
flood detection, and IP blacklist (everyone would collapse onto one shared
key). Added ProxyFix (1 hop).

CSV exports now stream instead of loading everything into memory. AI prompts
delimit citizen-submitted content explicitly and instruct the model to treat
it as inert data, never instructions, to reduce prompt injection surface.

Docs (DEX.md, SECURITE_ANTI_ABUS.md, README.md, DEPLOIEMENT.md) and
dev-local.sh updated to match.

docs/DEX.md

@@ -361,11 +361,12 @@ https://votredomaine.fr/admin
 
 ### Authentification
 
-À l'ouverture, un formulaire de connexion demande le mot de passe. Celui-ci est la valeur de la variable `ADMIN_SECRET` configurée dans les secrets de l'environnement. La session est stockée dans `sessionStorage` du navigateur — elle est perdue à la fermeture de l'onglet.
+À l'ouverture, un formulaire de connexion demande le mot de passe. Celui-ci est la valeur de la variable `ADMIN_SECRET` configurée dans les secrets de l'environnement. La session vit dans un cookie `admin_session` **httpOnly** signé (jamais lisible ni stocké par le JavaScript du navigateur) — expire au bout de 8h, ou plus tôt via le bouton Déconnexion.
 
 | Variable | Où la définir |
 |----------|---------------|
 | `ADMIN_SECRET` | `.env` ou variable d'environnement système |
+| `ALLOWED_ORIGINS` | `.env` — domaine public du site (requis pour que le cookie de session soit accepté en cross-origin) |
 
 ### Fonctionnalités
 
@@ -388,16 +389,19 @@ Sur la page d'accueil, chaque contribution affiche un bouton **Signaler** au sur
 
 ### Sécurité
 
-- Toutes les routes `/api/admin/*` vérifient le header `Authorization: Bearer <ADMIN_SECRET>`
+- Toutes les routes `/api/admin/*` vérifient le cookie `admin_session` (httpOnly, `Secure` en HTTPS, `SameSite=Strict`), jamais un header exposé au JS
+- Comparaison du mot de passe en temps constant (`hmac.compare_digest`) — pas de faille de timing
 - La route de login est limitée à 10 tentatives par minute (protection brute-force)
-- Aucune session persistante côté serveur — pas de cookie, pas de base de sessions
+- Aucune session persistante côté serveur — le cookie signé HMAC-SHA256 porte sa propre expiration (8h), pas de base de sessions
 - L'URL `/admin` n'est pas mentionnée dans le code source public ni dans le `robots.txt`
 
 ### Routes API admin
 
 | Méthode | Route | Action |
 |---------|-------|--------|
-| `POST` | `/api/admin/login` | Vérification du mot de passe |
+| `POST` | `/api/admin/login` | Vérification du mot de passe, pose le cookie `admin_session` |
+| `POST` | `/api/admin/logout` | Efface le cookie de session |
+| `GET` | `/api/admin/session` | Indique si le cookie de session est encore valide |
 | `GET` | `/api/admin/stats` | Statistiques détaillées |
 | `GET` | `/api/admin/ideas` | Liste avec filtres (`status`, `page`, `q`) |
 | `DELETE` | `/api/admin/ideas/<id>` | Suppression unitaire |
@@ -452,6 +456,8 @@ Si `webhook_url` est configuré, un POST JSON est envoyé à la clôture :
 }
 ```
 
+**Validation SSRF** : l'URL doit être `http(s)://` et résoudre vers une IP publique — toute IP privée/loopback/lien-local/réservée (réseau interne, `169.254.169.254` metadata cloud...) est rejetée, à la création **et** à chaque déclenchement (protège aussi une consultation créée avant ce contrôle, et contre le DNS rebinding). Les redirections HTTP ne sont pas suivies, pour la même raison.
+
 ### Export PDF d'une consultation
 
 ```